امنیت و معماری

برنامه‌های موبایل بدون حساب کاربری

برنامه‌های بومی به حساب Revault، نشانی ایمیل، رمز عبور یا ورود به وب نیاز ندارند. گاوصندوق‌ها روی دستگاه ساخته و رمزگذاری می‌شوند. استفاده از گاوصندوق محلی فایل‌های شما را روی سرورهای Revault بارگذاری نمی‌کند.

برنامه‌های بومی به حساب کاربری Revault نیاز ندارند. همگام‌سازی ابری اختیاری از حساب Apple یا Google شما استفاده می‌کند و خریدهای فروشگاهی از حساب پرداخت همان پلتفرم انجام می‌شود.

الگوی گاوصندوق

هر گاوصندوق یک کلید اصلی تصادفی ۲۵۶ بیتی دارد. الگوی ۵ × ۵ دستگاه شما با یک رمز محرمانهٔ محلی تصادفی ۲۵۶ بیتی ترکیب می‌شود؛ PBKDF2-HMAC-SHA-256 با ۶۰۰٬۰۰۰ تکرار و نمک تازهٔ ۱۲۸ بیتی، کلیدی را مشتق می‌کند که آن کلید اصلی را با AES-256-GCM بسته‌بندی می‌کند.

برای باز کردن گاوصندوق، الگوی خود را روی شبکهٔ ۵ × ۵ بکشید. گاوصندوق‌های دیگر و نام‌هایشان دیده نمی‌شوند. الگوها باید میان گاوصندوق‌هایی که روی یک دستگاه ثبت شده‌اند متفاوت باشند؛ انتخاب یک الگو نشان نمی‌دهد چه گاوصندوق‌های دیگری وجود دارند.

این الگو فقط قفل همین دستگاه را باز می‌کند. برای راه‌اندازی دستگاه دیگر، کلید بازیابی خود را نگه دارید.

محافظت از کلید فقط روی دستگاه

در iOS، رمز محرمانهٔ محلی باز کردن قفل در یک مورد Keychain غیرهمگام ذخیره می‌شود که فقط وقتی دستگاه باز است در دسترس است. در Android، مواد باز کردن قفل دستگاه با یک کلید Android Keystore غیرقابل‌خروجی که به دستگاه باز نیاز دارد رمزگذاری می‌شود.

رمزهای محرمانهٔ محلی باز کردن قفل در همگام‌سازی ابری بومی یا پشتیبان‌های قابل‌حمل گنجانده نمی‌شوند. رمز محرمانهٔ iOS کلید Secure Enclave نیست و پشتوانهٔ سخت‌افزاری در Android به دستگاه بستگی دارد. محافظت دستگاه، پس از به خطر افتادن رمز محرمانهٔ محلی، یک الگوی قابل‌پیش‌بینی را امن نمی‌کند.

پیش از بارگذاری رمزگذاری می‌شود

محتوا، نام فایل‌ها، پیش‌نمایش‌ها، نام گاوصندوق‌ها و ساختار پوشه‌ها روی دستگاه رمزگذاری می‌شوند. AES-256-GCM فراداده و بسته‌بندی‌های کلید را احراز هویت می‌کند؛ فایل‌ها از قالب جریانی AES-GCM-HKDF استفاده می‌کنند تا رمزگذاری بتواند فایل‌های بزرگ را در بخش‌های محدود پردازش کند.

گاوصندوق‌های محلی فایل‌های رمزگذاری‌شده را در فضای خصوصی برنامه نگه می‌دارند. گرفتن عکس یا ویدیو داخل گاوصندوق پیش از رمزگذاری از فضای موقت خصوصی استفاده می‌کند، نه ذخیرهٔ خودکار یک نسخه در گالری. وارد کردن یک فایل موجود، نسخهٔ اصلی آن را از Photos یا ارائه‌دهندهٔ دیگر حذف نمی‌کند.

همگام‌سازی ابری خصوصی اختیاری

iOS از یک پایگاه دادهٔ خصوصی CloudKit در iCloud استفاده می‌کند. Android از فضای خصوصی برنامه در Google Drive استفاده می‌کند. فایل‌ها، نام‌ها و پیش‌نمایش‌ها پیش از انتقال رمزگذاری می‌شوند. ارائه‌دهندهٔ ابری شما همچنان می‌تواند اطلاعات عملیاتی مانند اندازه‌ها، شناسه‌ها و زمان‌ها را ببیند.

همگام‌سازی به‌طور پیش‌فرض خاموش است و برای هر گاوصندوق روی هر دستگاه جداگانه انتخاب می‌شود. خاموش کردن آن انتقال‌های بعدی را از آن دستگاه متوقف می‌کند؛ نسخه‌های رمزگذاری‌شدهٔ موجود در فضای ابری را حذف نمی‌کند. دستگاه دیگری را روی همان پلتفرم با همان حساب ابری بومی و کلید بازیابی گاوصندوق متصل کنید.

همگام‌سازی iCloud و Google Drive درون پلتفرم‌های خودشان می‌ماند. برای همگام‌سازی زندهٔ iOS و Android، Revault Cloud را انتخاب کنید یا از انتقال رمزگذاری‌شدهٔ گوشی استفاده کنید.

فضای ذخیره‌سازی Pro برای گاوصندوق‌های رمزگذاری‌شده در iOS و Android. Revault فقط متن رمزشده دریافت می‌کند و هرگز کلید گاوصندوق یا عبارت بازیابی شما را دریافت نمی‌کند. با تغییر ارائه‌دهنده، نسخه‌های ابری قبلی سر جای خود می‌مانند.

قفل خودکار گاوصندوق

مهلت پیش‌فرض ۶۰ ثانیه است. در تنظیمات همان گاوصندوق ۳۰ ثانیه، ۱ دقیقه، ۲ دقیقه، ۵ دقیقه یا ۱۰ دقیقه را انتخاب کنید. گاوصندوق‌های اشتراکی از پیش‌فرض ۶۰ ثانیه استفاده می‌کنند و قفل پس‌زمینه صرف‌نظر از مهلت انتخابی اعمال می‌شود.

برنامهٔ موبایل هنگام رفتن به پس‌زمینه فوراً قفل می‌شود. قفل کردن کار گاوصندوق را لغو می‌کند، اطلاعات رمزگشایی‌شدهٔ فایل‌ها و وضعیت جست‌وجو را پاک می‌کند، پیش‌نمایش‌های موقت را پاک‌سازی می‌کند و بافرهای کلید را پاک می‌کند. iOS تصاویر لحظه‌ای تعویض برنامه را هم می‌پوشاند؛ Android از پرچم پنجرهٔ امن سیستم‌عامل استفاده می‌کند.

حافظهٔ مدیریت‌شده و فضای ذخیره‌سازی دستگاه نمی‌توانند پاک‌شدن فوری و کاملاً قطعی همهٔ نسخه‌ها را از دید قانونی-فنی (forensic) تضمین کنند. قفل خودکار همچنین نمی‌تواند فایلی را که آگاهانه به برنامهٔ دیگری خروجی داده‌اید پس بگیرد.

پشتیبان‌های رمزگذاری‌شده و بازیابی

کلید بازیابی، مواد کلید رمزگذاری‌شدهٔ گاوصندوق را باز می‌کند؛ فایل‌های شما در آن نیستند. پشتیبان شامل فایل‌های رمزگذاری‌شده است و جایگزین نگه داشتن کلید بازیابی نیست. آن‌ها را جداگانه نگه دارید و از هر دو در برابر گم شدن محافظت کنید.

عبارت بازیابی خود را هنگام راه‌اندازی ذخیره کنید. Revault ۱۸ کلمه تصادفی تولید می‌کند، یا می‌توانید عبارت خودتان را انتخاب و تأیید کنید. این عبارت به شما امکان می‌دهد بدون الگوی قفل محلی، دستگاه دیگری را ثبت کنید یا پشتیبانی را بازیابی کنید. می‌توانید آن را در تنظیمات گاوصندوق جایگزین کنید؛ پشتیبان‌های قدیمی‌تر همچنان ممکن است به کلید اصلی خود نیاز داشته باشند. کلیدهای هگزادسیمال موجود معتبر می‌مانند. Revault نسخه‌ای از آن نگه نمی‌دارد و نمی‌تواند آن را برایتان بازنشانی کند.

انتقال گوشی یک نسخهٔ رمزگذاری‌شدهٔ تازه و یک کلید انتقال جداگانه می‌سازد، حتی میان iPhone و Android. نسخهٔ اصلی روی گوشی قدیمی می‌ماند. پیش از حذف فایل‌های قدیمی، گاوصندوق مقصد را بررسی کنید و پشتیبان‌های مستقل نگه دارید، چون همگام‌سازی می‌تواند حذف‌ها را منتقل کند.

اشتراک‌گذاری امن

الگوی گاوصندوق، کلید بازیابی و کلید اصلی گاوصندوق شما هرگز در اشتراک‌گذاری گنجانده نمی‌شوند. سرویس فقط داده‌های رمزگذاری‌شدهٔ فایل و فراداده‌های عملیاتی مانند اندازه‌ها، چک‌سام‌ها، زمان‌ها و تعداد نشست‌های دسترسی را دریافت می‌کند. رمز محرمانهٔ جداگانهٔ رمزگشایی هرگز آپلود نمی‌شود.

اشتراک‌گذاری‌های کنترل‌شده از انقضای اعمال‌شده توسط سرور و محدودیت‌های اختیاری نشست دسترسی، محدودیت‌های خروجی گرفتن و تایمر پس از اولین دسترسی استفاده می‌کنند. iOS از دعوت‌نامه‌های خصوصی CloudKit هم پشتیبانی می‌کند که این کنترل‌های سروری را اعمال نمی‌کنند. گیرندگان با رمز محرمانهٔ جداگانه یک گاوصندوق اشتراکی مجزا را باز می‌کنند، بدون الگوی شخصی شما.

انقضا و لغو دسترسی، دریافت‌های بعدی را از طریق Revault متوقف می‌کنند، اما نمی‌توانند اسکرین‌شات‌ها، فایل‌های خروجی گرفته‌شده یا نسخه‌هایی را که گیرنده نگه داشته است پاک کنند. حتی وقتی خروجی گرفتن غیرفعال است، فقط به کسی اعتماد کنید که مورد اعتماد شماست.

کنترل‌های امنیتی اختیاری گاوصندوق

خروج امن هنگام باز شدن گاوصندوق تعیین‌شده، دسترسی محلی و داده‌های گاوصندوق‌های دیگر را حذف می‌کند. نسخه‌های ابری می‌مانند و گاوصندوق‌های فقط‌آفلاین بدون پشتیبان جداگانه ممکن است از بین بروند. این پاک‌سازی قانونی-فنی (forensic) تضمین‌شده نیست.

تاریخچهٔ فعالیت و هشدار نفوذ همراه با عکس برای هر گاوصندوق اختیاری هستند. تاریخچه و عکس‌های دستگاه محلی و رمزگذاری‌شده می‌مانند؛ اشتراک‌گذاری‌های کنترل‌شده ممکن است جداگانه زمان نشست‌های دسترسی را ثبت کنند. ثبت‌های هشدار نفوذ به مجوز دوربین و نشانگرهای عادی سیستم نیاز دارند. ثبت در حالت قفل از یک کلید رمزگذاری عمومی استفاده می‌کند؛ مرور عکس‌ها همچنان به باز کردن قفل گاوصندوق نیاز دارد.

نکته‌ای درباره امنیت

استفادهٔ محلی از گاوصندوق، فایلی را به Revault آپلود نمی‌کند. همگام‌سازی بومی اختیاری، فراداده‌های عملیاتی را در معرض Apple یا Google قرار می‌دهد. اشتراک‌گذاری کنترل‌شده نسخه‌های رمزگذاری‌شده و فراداده‌های دسترسی را به Revault می‌فرستد، بدون آنکه رمز محرمانهٔ جداگانهٔ رمزگشایی آپلود شود.

بدافزار، سیستم‌عامل یا برنامهٔ آلوده و کسی که صفحهٔ باز را می‌بیند می‌توانند متن بدون رمزگذاری را افشا کنند. تغییر الگو دستگاه دیگری را لغو نمی‌کند، پشتیبان‌های قدیمی را بی‌اعتبار نمی‌کند و کلید اصلی گاوصندوق را عوض نمی‌کند. اگر کلید گاوصندوق یا رمز محرمانهٔ بازیابی به خطر افتاد، فایل‌ها را به گاوصندوق جدیدی با کلیدهای تازه منتقل کنید.

Revault بررسی امنیتی مستقل را پشت سر نگذاشته است. این‌ها توصیف طراحی رمزنگاری پیاده‌سازی‌شده هستند، نه گواهی یا تضمین در برابر هر نفوذی.